Menerapkan prinsip Zero Trust ke penyebaran Azure Virtual WAN

Dengan cloud modern, perangkat seluler, dan evolusi titik akhir lainnya, hanya mengandalkan firewall perusahaan dan jaringan perimeter tidak lagi cukup. Strategi Zero Trust end-to-end mengasumsikan bahwa pelanggaran keamanan tidak dapat dihindari. Itu berarti Anda harus memverifikasi setiap permintaan seolah-olah berasal dari jaringan yang tidak terkontrol. Jaringan masih memainkan peran penting dalam Zero Trust untuk menghubungkan dan melindungi infrastruktur, aplikasi, dan data. Dalam model Zero Trust, ada tiga tujuan utama untuk mengamankan jaringan Anda:

• Bersiaplah untuk menangani serangan sebelum terjadi.
• Minimalkan tingkat kerusakan dan seberapa cepat penyebarannya.
• Tingkatkan kesulitan dalam membahayakan jejak cloud Anda.

Azure Virtual WAN memungkinkan arsitektur jaringan transit global dengan mengaktifkan konektivitas dari mana saja ke mana saja antara sekumpulan beban kerja cloud yang didistribusikan secara global di jaringan virtual (VNets), situs cabang, aplikasi SaaS dan PaaS, serta pengguna. Mengadopsi pendekatan Zero Trust di Azure Virtual WAN sangat penting untuk memastikan bahwa tulang punggung Anda aman dan terlindungi.

Artikel ini menyediakan langkah-langkah untuk menerapkan prinsip Zero Trust ke penyebaran Azure Virtual WAN dengan cara berikut:

Prinsip Zero Trust	Definisi	Terpenuhi oleh
Memverifikasi secara eksplisit	Selalu autentikasi dan otorisasi berdasarkan semua titik data yang tersedia.	Gunakan Azure Firewall dengan inspeksi Keamanan Lapisan Transportasi (TLS) untuk memverifikasi risiko dan ancaman berdasarkan semua data yang tersedia. Kontrol Akses Bersyarat dimaksudkan untuk menyediakan autentikasi dan otorisasi dengan titik data yang beragam dan Azure Firewall tidak melakukan autentikasi pengguna.
Gunakan akses dengan hak paling minimal	Batasi akses pengguna dengan Just-In-Time dan Just-Enough-Access (JIT/JEA), kebijakan adaptif berbasis risiko, dan perlindungan data.	Akses pengguna berada di luar cakupan penyebaran infrastruktur jaringan Azure. Gunakan solusi identitas seperti Privileged Access Management, Conditional Access, dan kontrol lainnya untuk memberikan prinsip ini.
Mengasumsikan pembobolan	Minimalkan dampak radius ledakan dan segmentasikan akses. Verifikasi enkripsi menyeluruh dan gunakan analitik untuk mendapatkan visibilitas, mendorong deteksi ancaman, dan meningkatkan pertahanan.	Setiap jaringan virtual spoke tidak memiliki akses ke VNet spoke lainnya kecuali lalu lintas dirutekan melalui firewall yang terintegrasi di dalam setiap hub Azure Virtual WAN. Firewall diatur untuk menolak secara default, hanya mengizinkan lalu lintas yang diizinkan oleh aturan tertentu. Jika terjadi penyusupan atau pelanggaran satu aplikasi/beban kerja, ia memiliki kemampuan terbatas untuk menyebar karena Azure Firewall melakukan inspeksi lalu lintas dan hanya meneruskan lalu lintas yang diizinkan. Hanya sumber daya dalam beban kerja yang sama yang terekspos ke pelanggaran dalam aplikasi yang sama.

Untuk informasi selengkapnya tentang cara menerapkan prinsip Zero Trust di seluruh lingkungan Azure IaaS, lihat menerapkan prinsip Zero Trust ke gambaran umum infrastruktur Azure.

Untuk diskusi industri tentang Zero Trust, lihat Publikasi Khusus NIST 800-207.

Azure Virtual WAN

Azure Virtual WAN adalah layanan jaringan yang menyatukan banyak fungsionalitas jaringan, keamanan, dan perutean untuk menyediakan satu antarmuka operasional. Beberapa fitur utama meliputi:

• Fitur perutean tingkat lanjut
• Integrasi "bump-in-the-wire" keamanan melalui Azure Firewall atau Network Virtual Appliances (NVA) yang didukung di hub
• ExpressRoute yang Dienkripsi

Pendekatan Zero Trust untuk Azure Virtual WAN memerlukan konfigurasi beberapa layanan dan komponen yang mendasarinya dari tabel prinsip Zero Trust yang sebelumnya tercantum. Berikut adalah daftar langkah dan tindakan:

• Sebarkan Azure Firewall atau NVA Next Generation Firewall (NGFW) yang didukung dalam setiap hub Virtual WAN.
• Konfigurasikan perutean antar VNet dan cabang di lokasi untuk membuat lingkungan Zero Trust dengan mengirim semua lalu lintas ke appliance keamanan di hub untuk dilakukan inspeksi. Konfigurasikan perutean agar menyediakan pemfilteran dan perlindungan terhadap ancaman yang diketahui.
• Pastikan bahwa tidak ada sumber daya dalam spoke yang memiliki akses langsung ke Internet.
• Menyediakan mikro-segmentasi aplikasi di jaringan spoke, beserta strategi perimeter mikro untuk akses masuk/keluar.
• Memberikan observabilitas terhadap peristiwa keamanan jaringan.

Arsitektur referensi

Diagram berikut menunjukkan arsitektur referensi umum yang menunjukkan lingkungan yang umum disebarkan dan cara menerapkan prinsip Zero Trust ke Azure Virtual WAN.

Azure Virtual WAN dapat disebarkan dalam jenis Dasar dan Standar. Menerapkan prinsip Zero Trust untuk Azure Virtual WAN dengan Azure Firewall atau NGFW memerlukan tipe Standar.

Azure Virtual WAN dengan arsitektur referensi hub aman meliputi:

• Satu Virtual WAN logis.
• Dua hub virtual aman, satu per wilayah.
• Instans Azure Firewall Premium disebarkan di setiap hub.
• Setidaknya satu kebijakan Azure Firewall Premium.
• Gateway VPN titik-ke-situs (P2S) dan situs-ke-situs (S2S) serta Gateway ExpressRoute.
• Cabang yang terhubung dengan P2S, S2S, dan ExpressRoute.
• Jaringan virtual layanan bersama yang berisi sumber daya infrastruktur inti yang tidak dapat disebarkan ke hub Virtual WAN, seperti VM DNS kustom atau Azure DNS Private Resolver, Active Directory Domain Services pengontrol domain [AD DS], Azure Bastion, dan sumber daya bersama lainnya.
• Beban kerja VNet dengan Azure Application Gateway, firewall aplikasi web Azure (WAF), dan Titik Akhir Privat jika diperlukan.

Azure Virtual WAN mendukung integrasi sekumpulan firewall pihak ketiga terbatas di dalam hubnya sebagai alternatif untuk Azure Firewall asli. Artikel ini hanya menjelaskan Azure Firewall. Apa yang termasuk dalam spoke VNet-Shared Services pada arsitektur referensi hanyalah contoh dari apa yang dapat Anda sebarkan. Microsoft mengelola hub Azure Virtual WAN dan Anda tidak dapat menginstal hal lain di dalamnya kecuali apa yang diizinkan oleh Azure Firewall dan NVA yang didukung secara eksplisit.

Arsitektur referensi ini selaras dengan prinsip arsitektur yang dijelaskan dalam artikel Cloud Adoption Framework untuk topologi jaringan Virtual WAN.

Keamanan Perutean

Mengamankan penyebaran rute dan isolasi lingkungan lokal adalah elemen keamanan penting yang harus dikelola.

Selain segmentasi lalu lintas, keamanan perutean adalah bagian penting dari desain keamanan jaringan apa pun. Protokol routing adalah bagian integral dari sebagian besar jaringan, termasuk Azure. Anda perlu melindungi infrastruktur Anda dari risiko yang melekat pada protokol perutean, seperti kesalahan konfigurasi atau serangan berbahaya. Protokol BGP yang digunakan untuk VPN atau ExpressRoute menawarkan kemungkinan yang sangat kaya untuk melindungi jaringan Anda dari perubahan perutean yang tidak diinginkan, yang mungkin mencakup iklan rute yang terlalu spesifik atau rute yang terlalu luas.

Cara terbaik untuk melindungi jaringan Anda adalah dengan mengonfigurasi perangkat lokal Anda dengan kebijakan rute dan peta rute yang sesuai untuk memastikan bahwa hanya prefiks yang diizinkan yang disebarkan ke jaringan Anda dari Azure. Misalnya, Anda dapat:

• Blokir awalan masuk yang terlalu generik.

  Jika karena kesalahan konfigurasi Azure mulai mengirim awalan generik seperti 0.0.0.0/0 atau 10.0.0.0/8, itu bisa menarik lalu lintas yang mungkin tetap berada di jaringan lokal Anda.

• Blokir awalan masuk yang terlalu spesifik.

  Dalam keadaan tertentu Anda bisa mendapatkan beberapa awalan IPv4 panjang dari Azure (panjang awalan jaringan 30 hingga 32), yang biasanya disertakan dalam awalan lain yang kurang spesifik dan karenanya tidak diperlukan. Menghapus awalan ini mencegah tabel perutean di lokasi Anda menjadi terlalu besar secara tidak perlu.

• Blokir awalan masuk yang tidak ada di Azure kecuali Anda menggunakan Azure sebagai jaringan transit.

  Jika Anda tidak menggunakan Azure untuk mengangkut lalu lintas antara lokasi lokal Anda (misalnya, dengan teknologi seperti ExpressRoute Global Reach), awalan lokal yang diiklankan dari Azure akan menunjukkan perulangan perutean. Hanya mengambil awalan Azure di router lokal Anda yang akan melindungi Anda dari jenis perulangan perutean ini.

• Blokir prefiks keluar yang tidak lokal.

  Jika Anda tidak menggunakan jaringan lokal Anda untuk transit antara wilayah Azure, Anda sebaiknya tidak mengumumkan ke Azure prefiks apa pun yang tidak Anda gunakan di lokasi. Jika tidak, Anda mengalami risiko membuat loop perutean, terutama mengingat fakta bahwa implementasi eBGP di sebagian besar router mempromosikan ulang semua awalan pada tautan yang kurang diutamakan. Efeknya adalah mengirim awalan Azure kembali ke Azure kecuali jika Anda telah mengonfigurasi multipath eBGP.

Arsitektur logika

Azure Virtual WAN adalah kumpulan hub dan layanan yang tersedia di dalam hub. Anda dapat menyebarkan WAN Virtual sebanyak yang Anda butuhkan. Di hub Virtual WAN, ada beberapa layanan seperti VPN, ExpressRoute, Azure Firewall, atau NVA terintegrasi pihak ketiga.

Diagram berikut menunjukkan arsitektur logis infrastruktur Azure untuk penyebaran Azure Virtual WAN seperti yang digambarkan dalam Cloud Adoption Framework.

Sebagian besar sumber daya terkandung di dalam langganan konektivitas. Anda menyebarkan semua sumber daya Virtual WAN ke dalam satu grup sumber daya dalam langganan konektivitas, termasuk saat Anda menyebarkan di beberapa wilayah. Azure spoke jaringan virtual berada di langganan zona pendaratan. Jika Anda menggunakan kebijakan pewarisan dan hierarki Azure Firewall, kebijakan induk dan kebijakan anak harus terletak di wilayah yang sama. Anda masih dapat menerapkan kebijakan yang Anda buat di satu wilayah pada hub aman dari wilayah lain.

Apa yang ada di artikel ini?

Artikel ini menjelaskan langkah-langkah untuk menerapkan prinsip Zero Trust di seluruh arsitektur referensi Azure Virtual WAN.

Langkah	Tugas	Prinsip Zero Trust diterapkan
1	Buat kebijakan Azure Firewall.	Verifikasi secara eksplisit Mengasumsikan pembobolan
2	Konversikan hub Azure Virtual WAN Anda ke hub aman.	Verifikasi secara eksplisit Mengasumsikan pembobolan
3	Amankan lalu lintas Anda.	Verifikasi secara eksplisit Mengasumsikan pembobolan
4	Amankan Spoke VNet Anda.	Mengasumsikan pembobolan
5	Tinjau penggunaan enkripsi Anda.	Mengasumsikan pembobolan
6	Amankan pengguna P2S Anda.	Mengasumsikan pembobolan
7	Konfigurasikan pemantauan, audit, dan manajemen.	Mengasumsikan pembobolan

Anda harus melakukan Langkah 1 dan 2 secara berurutan. Langkah-langkah lain dapat dilakukan dalam urutan apa pun.

Langkah 1: Membuat kebijakan Azure Firewall

Untuk penyebaran Azure Firewall mandiri di hub klasik dan arsitektur spoke, setidaknya satu kebijakan Azure harus dibuat di Azure Firewall Manager dan terkait dengan hub Azure Virtual WAN. Kebijakan ini harus dibuat dan disediakan sebelum konversi hub apa pun. Setelah kebijakan ditentukan, kebijakan diterapkan ke instans Azure Firewall di Langkah 2.

Kebijakan Azure Firewall dapat diatur dalam hierarki induk-anak. Untuk skenario hub dan spoke klasik atau Azure Virtual WAN terkelola, Anda harus menentukan kebijakan akar dengan sekumpulan aturan keamanan umum IT untuk mengizinkan atau menolak lalu lintas. Kemudian, untuk setiap hub, kebijakan anak dapat didefinisikan untuk menerapkan aturan khusus hub melalui pewarisan. Langkah ini bersifat opsional. Jika aturan yang harus diterapkan ke setiap hub identik, satu kebijakan dapat diterapkan.

Untuk Zero Trust, kebijakan Azure Firewall Premium diperlukan dan harus menyertakan pengaturan berikut:

• Proksi DNS – Anda harus mengonfigurasi Azure Firewall sebagai server DNS kustom untuk VNet spoke yang melindungi DNS nyata yang berada di spoke layanan bersama atau on-premises. Firewall Azure bertindak sebagai Proksi DNS, mendengarkan port UDP 53, dan meneruskan permintaan DNS ke server DNS yang ditentukan dalam pengaturan kebijakan. Untuk setiap spoke, Anda harus mengonfigurasi server DNS di tingkat jaringan virtual yang menunjuk ke alamat IP internal Azure Firewall di Hub Virtual WAN. Anda tidak boleh memberikan akses jaringan dari node penghubung dan cabang ke DNS kustom.

• TLS Inspeksi harus diaktifkan untuk skenario ini:

  • Inspeksi TLS Keluar untuk melindungi dari lalu lintas berbahaya yang berasal dari klien internal yang dihosting di Azure ke Internet.

  • Inspeksi TLS Timur-Barat untuk menyertakan lalu lintas yang menuju atau berasal dari cabang di lokasi dan di antara spoke Virtual WAN. Ini melindungi beban kerja Azure Anda dari potensi lalu lintas berbahaya yang dikirim dari dalam Azure.

• Sistem deteksi dan pencegahan intrusi (IDPS) harus diaktifkan dalam mode "Pemberitahuan dan Tolak".

• Threat Intelligence harus diaktifkan dalam mode "Pemberitahuan dan Blokir".

Sebagai bagian dari pembuatan kebijakan, Anda harus membuat aturan Destination Network Address Translation (DNAT) yang diperlukan, aturan jaringan, dan aturan aplikasi untuk mengaktifkan hanya alur jaringan untuk lalu lintas yang diizinkan secara eksplisit. Untuk mengaktifkan inspeksi TLS untuk target yang dipilih, aturan aplikasi yang sesuai harus mengaktifkan pengaturan "inspeksi TLS". Saat membuat aturan di Koleksi Aturan, Anda harus menggunakan "Tujuan" dan "Jenis Tujuan" yang paling ketat.

Langkah 2: Mengonversi hub Azure Virtual WAN Anda ke hub aman

Inti dari pendekatan Zero Trust untuk Azure Virtual WAN adalah konsep hub Secured Virtual WAN (hub aman). Hub aman adalah hub Azure Virtual WAN dengan Azure Firewall terintegrasi. Penggunaan appliance keamanan yang didukung dari pihak ketiga didukung sebagai alternatif untuk Azure Firewall tetapi tidak dijelaskan dalam artikel ini. Anda dapat menggunakan alat virtual ini untuk memeriksa semua lalu lintas Utara-Selatan, Timur-Barat, dan menuju Internet.

Kami merekomendasikan Azure Firewall Premium untuk Zero Trust dan Anda mengonfigurasinya dengan Kebijakan Premium yang dijelaskan di Langkah 1.

Catatan

Penggunaan DDoS Protection tidak didukung pada hub yang aman.

Untuk informasi selengkapnya, lihat Menginstal Azure Firewall di hub Virtual WAN.

Langkah 3: Amankan lalu lintas Anda

Setelah memutakhirkan semua hub Azure Virtual WAN ke hub aman, Anda harus mengonfigurasi Niat dan Kebijakan Perutean untuk Zero Trust. Konfigurasi ini memungkinkan Azure Firewall di setiap hub untuk menarik dan memeriksa lalu lintas antara spoke dan cabang-cabang di hub yang sama dan di seluruh hub-hub terpencil. Anda harus mengonfigurasi kebijakan Anda untuk mengirim "Lalu lintas Internet" dan "Lalu lintas privat" melalui Azure Firewall atau NVA pihak ketiga Anda). Opsi "Inter-hub" juga harus diaktifkan. Berikut ini contohnya.

Ketika kebijakan perutean "Private Traffic" diaktifkan, lalu lintas jaringan virtual yang masuk ke dan keluar dari hub Virtual WAN, termasuk lalu lintas antarhub, diteruskan ke Azure Firewall atau NVA sebagai hop berikutnya yang ditentukan dalam kebijakan tersebut. Pengguna dengan hak istimewa Kontrol Akses Berbasis Peran (RBAC) dapat mengambil alih pemrograman rute Virtual WAN untuk VNet spoke dan mengasosiasikan Rute yang Ditentukan Pengguna (UDR) kustom untuk melewati firewall hub. Untuk mencegah kerentanan ini, izin RBAC untuk menetapkan UDR pada subnet jaringan virtual spoke harus dibatasi hanya untuk administrator jaringan pusat dan tidak didelegasikan kepada pemilik landing zone dari VNet spoke. Untuk mengaitkan UDR dengan jaringan virtual atau subnet, pengguna harus memiliki peran Network Contributor atau peran kustom dengan tindakan atau izin "Microsoft.Network/routeTables/join/action".

Catatan

Dalam artikel ini, Azure Firewall terutama dipertimbangkan untuk lalu lintas Internet dan kontrol lalu lintas privat. Untuk lalu lintas Internet, NVA keamanan yang didukung oleh pihak ketiga dapat digunakan atau penyedia Security as a Service (SECaaS) pihak ketiga. Untuk lalu lintas privat, NVA keamanan yang didukung pihak ketiga dapat digunakan sebagai alternatif untuk Azure Firewall.

Catatan

Tabel Rute Kustom di Azure Virtual WAN tidak dapat digunakan bersama dengan Intent dan Kebijakan Perutean dan tidak boleh dianggap sebagai pilihan keamanan.

Langkah 4: Amankan jaringan VNet spoke Anda

Setiap hub Azure Virtual WAN dapat memiliki satu atau beberapa VNet yang terhubung melalui peering jaringan virtual. Berdasarkan zona landing dalam Cloud Adoption Framework, setiap jaringan virtual berisi beban kerja, aplikasi, dan layanan zona pendaratan yang mendukung organisasi. Azure Virtual WAN mengelola koneksi, propagasi dan asosiasi rute, serta perutean keluar dan masuk, namun tidak dapat memengaruhi keamanan intra-VNet. Prinsip Zero Trust harus diterapkan di setiap jaringan virtual spoke sesuai dengan panduan yang dipublikasikan dalam Terapkan prinsip Zero Trust pada jaringan virtual spoke dan artikel lain, tergantung pada jenis sumber daya, seperti mesin virtual dan penyimpanan. Pertimbangkan elemen berikut:

• Segmentasi mikro: Bahkan jika Azure Virtual WAN menarik dan memfilter lalu lintas keluar, penggunaan kelompok keamanan jaringan (NSG) dan kelompok keamanan aplikasi (ASG) untuk mengatur alur intra-VNet masih disarankan.

• Local DMZ: Aturan DNAT yang dibuat di firewall pusat di dalam hub Azure Virtual WAN harus memfilter dan mengizinkan lalu lintas non-HTTP atau HTTPS masuk. Lalu lintas HTTP/HTTPS masuk harus dikelola oleh Azure Application Gateway lokal dan Web Application Firewall terkait.

  Meskipun hub virtual aman pada Azure Virtual WAN belum mendukung Azure DDoS Protection, menggunakan DDoS untuk melindungi titik akhir yang menghadap Internet di VNet spoke dimungkinkan dan sangat disarankan. Untuk informasi lebih lanjut, lihat Masalah yang diketahui terkait Azure Firewall Manager dan Jaringan virtual hub serta perbandingan hub virtual yang aman.

• Deteksi dan perlindungan ancaman tingkat lanjut: Lihat Menerapkan prinsip Zero Trust ke jaringan virtual spoke. Elemen di dalam spoke harus dilindungi dengan tool perlindungan ancaman seperti Microsoft Defender untuk Cloud.

Karena hub di Azure Virtual WAN dikunci dan dikelola oleh Azure, komponen kustom tidak dapat diinstal atau diaktifkan di sana. Beberapa sumber daya yang biasanya disebarkan di dalam hub, dalam model hub dan spoke klasik, harus ditempatkan dalam satu atau beberapa jaringan spoke yang bertindak sebagai jaringan sumber daya bersama. Contohnya:

• Azure Bastion:Azure Bastion mendukung Azure Virtual WAN tetapi harus disebarkan di dalam jaringan virtual spoke karena hub dibatasi dan dikelola oleh Azure. Dari spoke Azure Bastion, pengguna dapat menjangkau sumber daya di VNet lain, tetapi memerlukan koneksi berbasis IP yang tersedia dengan SKU Standar Azure Bastion.
• Server DNS kustom: Perangkat lunak server DNS dapat diinstal pada komputer virtual apa pun dan bertindak sebagai server DNS untuk semua spoke di Azure Virtual WAN. Server DNS harus diinstal di jaringan virtual spoke yang melayani semua spoke lainnya secara langsung, atau melalui fitur Proksi DNS yang ditawarkan oleh Azure Firewall yang terintegrasi di dalam hub Virtual WAN.
• Azure Private DNS Resolver: Penyebaran Azure Private DNS Resolver didukung di dalam salah satu VNet spoke yang tersambung ke hub Virtual WAN. Azure Firewall yang terintegrasi di dalam hub Virtual WAN dapat menggunakan sumber daya ini sebagai DNS kustom saat Anda mengaktifkan fitur Proksi DNS.
• Private Endpoints: Jenis sumber daya ini kompatibel dengan Virtual WAN tetapi harus disebarkan di dalam jaringan virtual spoke. Ini menyediakan konektivitas ke jaringan virtual atau cabang lain yang terhubung ke Virtual WAN yang sama, jika Azure Firewall terintegrasi memungkinkan aliran. Petunjuk tentang cara mengamankan lalu lintas ke Titik Akhir Privat menggunakan Azure Firewall yang terintegrasi di dalam hub Virtual WAN dapat ditemukan di Lalu lintas aman yang ditujukan untuk titik akhir privat di Azure Virtual WAN.
• Zona DNS Privat Azure (tautan): Jenis sumber daya ini tidak hidup di dalam jaringan virtual tetapi harus ditautkanke mereka agar berfungsi dengan benar. Zona DNS Privat tidak dapat ditautkan ke hub Virtual WAN. Sebagai gantinya, entitas tersebut harus dihubungkan ke jaringan virtual spoke yang berisi server DNS kustom atau Azure Private DNS Resolver (disarankan), atau langsung ke VNet spoke yang memerlukan rekaman DNS dari zona tersebut.

Langkah 5: Tinjau enkripsi Anda

Azure Virtual WAN menyediakan beberapa kemampuan enkripsi lalu lintas melalui gatewaynya sendiri untuk lalu lintas yang memasuki jaringan Microsoft. Jika memungkinkan, enkripsi harus diaktifkan, berdasarkan jenis gateway. Pertimbangkan perilaku enkripsi default berikut:

• Gateway VPN Virtual WAN S2S menyediakan enkripsi saat menggunakan koneksi VPN IPsec/IKE (IKEv1 dan IKEv2).

• Gateway VPN Virtual WAN P2S menyediakan enkripsi saat menggunakan koneksi VPN pengguna melalui OpenVPN atau IPsec/IKE (IKEv2).

• Gateway ExpressRoute Virtual WAN tidak menyediakan enkripsi, oleh karena itu pertimbangan yang sama dari ExpressRoute mandiri berlaku.

  • Hanya untuk sirkuit ExpressRoute yang disediakan di atas ExpressRoute Direct, Dimungkinkan untuk memanfaatkan enkripsi MACsec yang disediakan platform untuk mengamankan koneksi antara router tepi Anda dan router edge Microsoft.

  • Enkripsi dapat dibuat menggunakan koneksi VPN IPsec/IKE dari jaringan lokal Anda ke Azure melalui peering privat sirkuit Azure ExpressRoute. Routing Intent dan Kebijakan Perutean sekarang mendukung konfigurasi ini dengan tahap-tahap konfigurasi tambahan yang diperlukan, seperti yang dijelaskan dalam ExpressRoute Terenkripsi.

• Untuk perangkat Software-Defined WAN (SD-WAN) pihak ketiga dan NVA yang terintegrasi ke hub Virtual WAN, kemampuan enkripsi tertentu harus diverifikasi dan dikonfigurasi sesuai dengan dokumentasi vendor.

Setelah lalu lintas memasuki infrastruktur jaringan Azure melalui salah satu gateway atau SD-WAN/NVA, tidak ada layanan atau kemampuan Virtual WAN tertentu yang menyediakan enkripsi jaringan. Jika lalu lintas antara hub dan jaringan virtualnya dan hub-ke-hub tidak terenkripsi, Anda harus menggunakan enkripsi tingkat aplikasi jika diperlukan.

Catatan

Spoke Virtual WAN tidak mendukung enkripsi VNet-ke-VNet menggunakan Azure VPN Gateway karena spoke diperlukan untuk menggunakan gateway jarak jauh hub Virtual WAN.

Langkah 6: Amankan pengguna P2S Anda

Azure Virtual WAN adalah layanan jaringan yang menyatukan banyak fungsionalitas jaringan, keamanan, dan perutean untuk menyediakan satu antarmuka operasional. Dari perspektif identitas pengguna, satu-satunya titik sentuh dengan Virtual WAN adalah dalam metode otentikasi yang digunakan untuk mengizinkan VPN P2S bagi pengguna. Beberapa metode autentikasi tersedia, tetapi sebaiknya ikuti prinsip Zero Trust dengan autentikasi Microsoft Entra. Dengan ID Microsoft Entra, Anda dapat memerlukan autentikasi multifaktor (MFA) dan Akses Bersyarat untuk menerapkan prinsip Zero Trust pada perangkat klien dan identitas pengguna.

Catatan

Autentikasi Microsoft Entra hanya tersedia untuk gateway yang menggunakan protokol OpenVPN, yang hanya didukung untuk koneksi protokol OpenVPN dan memerlukan Klien Azure VPN.

Azure Virtual WAN dan Azure Firewall tidak menyediakan perutean dan pemfilteran lalu lintas berdasarkan nama akun pengguna atau grup, tetapi dimungkinkan untuk menetapkan grup pengguna yang berbeda dari kumpulan alamat IP yang berbeda. Anda kemudian dapat menentukan aturan pada Azure Firewall terintegrasi untuk membatasi pengguna atau grup berdasarkan kumpulan alamat IP P2S yang ditetapkan.

Jika Anda membagi pengguna P2S ke dalam grup yang berbeda berdasarkan persyaratan akses jaringan, kami sarankan Anda membedakannya di tingkat jaringan dan memastikan bahwa mereka hanya dapat mengakses subset jaringan internal. Anda dapat membuat beberapa kumpulan alamat IP untuk Azure Virtual WAN. Untuk informasi selengkapnya, lihat Mengonfigurasi grup pengguna dan kumpulan alamat IP untuk VPN Pengguna P2S.

Langkah 7: Mengonfigurasi pemantauan, audit, dan manajemen

Azure Virtual WAN menyediakan kemampuan pemantauan dan diagnostik yang luas dengan Azure Monitor. Detail dan topologi tambahan dapat diperoleh menggunakan dasbor pemantauan terfokus, bawaan, di portal Azure bernama Azure Monitor Insights untuk Virtual WAN. Alat pemantauan ini tidak spesifik untuk keamanan. Azure Firewall yang disebarkan di dalam setiap hub Virtual WAN menyediakan titik integrasi untuk Zero Trust dan pemantauan keamanan. Anda harus mengonfigurasi Diagnostik dan pengelogan untuk Azure Firewall sama dengan Azure Firewall di luar Virtual WAN.

Azure Firewall menyediakan alat pemantauan berikut yang harus Anda gunakan untuk memastikan keamanan dan penerapan prinsip Zero Trust yang benar:

• Azure Firewall Policy Analytics memberikan wawasan, visibilitas terpusat, dan kontrol ke Azure Firewall. Keamanan memang mengharuskan aturan firewall yang tepat diberlakukan dan efektif untuk melindungi infrastruktur internal. portal Azure merangkum detail tentang "Sumber Berbahaya Potensial" yang dihasilkan oleh IDPS mesin firewall dan fitur Inteligensi Ancaman.

• Azure Firewall Workbook menyediakan kanvas fleksibel untuk analisis data Azure Firewall. Anda dapat memperoleh wawasan tentang peristiwa Azure Firewall, mempelajari tentang aplikasi, dan aturan jaringan Anda, dan melihat statistik untuk aktivitas firewall di seluruh URL, port, dan alamat. Kami sangat menyarankan agar Anda secara berkala meninjau IDPS Log Statistics dan dari tab Investigasi, memeriksa lalu lintas yang ditolak, alur sumber dan tujuan, serta laporan Intelijen Ancaman untuk meninjau dan mengoptimalkan aturan firewall.

Azure Firewall juga terintegrasi dengan Microsoft Defender untuk Cloud dan Microsoft Sentinel. Kami sangat menyarankan Agar Anda mengonfigurasi kedua alat dengan benar dan secara aktif menggunakannya untuk Zero Trust dengan cara berikut:

• Dengan integrasi Microsoft Defender untuk Cloud, Anda dapat memvisualisasikan status keseluruhan infrastruktur dan keamanan jaringan dalam satu tempat, termasuk Keamanan Jaringan Azure di semua VNet dan Hub Virtual yang tersebar di berbagai wilayah di Azure. Dengan sekilas, Anda dapat melihat jumlah Azure Firewall, kebijakan firewall, dan wilayah Azure tempat Azure Firewall disebarkan.
• Solusi Microsoft Sentinel untuk integrasi Azure Firewall yang mulus menyediakan deteksi dan pencegahan ancaman. Setelah disebarkan, solusi ini memungkinkan deteksi ancaman bawaan yang dapat disesuaikan di atas Microsoft Sentinel. Solusinya juga mencakup buku kerja, deteksi, kueri berburu, dan playbook.

Pelatihan untuk administrator

Modul pelatihan berikut membantu tim Anda dengan keterampilan yang diperlukan untuk menerapkan prinsip Zero Trust ke penyebaran Azure Virtual WAN Anda.

Pengantar Azure Virtual WAN

Pelatihan	Pengantar Azure Virtual WAN
	Menjelaskan cara membangun jaringan area luas (WAN) menggunakan layanan jaringan Azure Virtual WAN yang ditentukan perangkat lunak.

Mulai >

Pengenalan Azure Firewall

Pelatihan	Pengantar Azure Firewall
	Jelaskan bagaimana Azure Firewall melindungi sumber daya jaringan virtual Azure, termasuk fitur Azure Firewall, aturan, opsi penyebaran, dan administrasi dengan Azure Firewall Manager.

Mulai >

Pengenalan Azure Firewall Manager

Pelatihan	Pengantar Azure Firewall Manager
	Menjelaskan apakah Anda dapat menggunakan Azure Firewall Manager untuk menyediakan kebijakan keamanan pusat dan manajemen rute untuk perimeter keamanan berbasis cloud Anda. Mengevaluasi apakah Azure Firewall Manager dapat membantu mengamankan perimeter cloud Anda.

Mulai >

Merancang dan mengimplementasikan keamanan jaringan

Pelatihan	Merancang dan mengimplementasikan keamanan jaringan
	Anda akan mempelajari cara merancang dan mengimplementasikan solusi keamanan jaringan seperti Azure DDoS, Kelompok Keamanan Jaringan, Azure Firewall, dan Web Application Firewall.

Mulai >

Untuk pelatihan selengkapnya tentang keamanan di Azure, lihat sumber daya ini di katalog Microsoft:
Keamanan di Azure

Langkah berikutnya

Lihat artikel tambahan ini untuk menerapkan prinsip Zero Trust ke Azure:

• Gambaran umum Azure IaaS
  • Penyimpanan Azure
  • Mesin virtual
  • Jaringan virtual spoke
  • Hub jaringan virtual
• Azure Virtual Desktop
• Aplikasi IaaS di Amazon Web Services
• Microsoft Sentinel dan Microsoft Defender XDR

Referensi

Lihat tautan ini untuk mempelajari tentang berbagai layanan dan teknologi yang disebutkan dalam artikel ini.

Azure Virtual WAN

• Gambaran umum Azure Virtual WAN
• Cara mengonfigurasi kebijakan perutean hub Virtual WAN
• Menginstal Azure Firewall di hub Virtual WAN
• Apa yang dimaksud dengan hub virtual yang aman?
• Cara mengonfigurasi kebijakan perutean hub Virtual WAN
• Tutorial: Mengamankan hub virtual Anda menggunakan Azure Firewall Manager
• Tutorial: Mengamankan hub virtual Anda menggunakan Azure PowerShell
• Berbagi layanan tautan privat di seluruh Virtual WAN
• Mengelola akses aman ke sumber daya di VNet spoke untuk klien P2S

Garis besar keamanan

• Azure Firewall
• Azure Firewall Manager

Ulasan Well-Architected Framework

• Azure Firewall

Keamanan Azure

• Pengantar keamanan Azure
• Panduan implementasi Zero Trust
• Gambaran umum tolok ukur keamanan cloud Microsoft
• Membangun lapisan pertahanan pertama dengan layanan keamanan Azure
• Arsitektur Referensi Keamanan Cyber Microsoft

Ilustrasi teknis

Anda dapat mengunduh ilustrasi yang digunakan dalam artikel ini. Gunakan file Visio untuk mengubah ilustrasi ini untuk penggunaan Anda sendiri.

PDF | Visio

Tinjau ilustrasi teknis tambahan.

Langkah berikutnya

Pelajari cara menilai kesiapan Zero Trust Anda, termasuk kesiapan jaringan Anda.